Le mot de passe au réseau RIPE était « ripeadmin ». Sans les guillemets.
Les clients du réseau Orange en Espagne ont subi une panne majeure de leur accès à internet, le 3 janvier dernier. La faute à un hacker du nom de Snow, qui a obtenu, beaucoup trop facilement, l'accès à un compte administrateur au réseau RIPE, lui permettant de bloquer ou de perturber l'accès à de nombreux sites internet pour les utilisateurs concernés. La faille a depuis été corrigée.
La sécurité d'Orange Espagne pose clairement question
Mercredi dernier, un hacker obtient les accès à un compte administrateur d'Orange au réseau RIPE, qui est une base de données de toutes les adresses IP en Europe, au Moyen-Orient, et en Asie Centrale. Il a d'abord effectué quelques modifications, sans que cela provoque de réaction, avant d'aller plus loin et de détourner le routage des adresses IP des clients orange, rendant de nombreux sites internet inaccessibles à ces derniers.
Dans un post sur X.com en fin de journée, Orange Espagne a reconnu l'incident, a annoncé l'avoir corrigé, et rassuré ses clients sur le fait qu'aucune donnée personnelle n'avait fuité à l'occasion. Mais le simple fait qu'il ait pu se produire interroge le niveau de sécurité de l'entreprise. Car le mot de passe ridiculement faible, ripeadmin, n'a même pas été obtenu par force brute, mais via un infostealer (voleur d'informations) installé sur l'ordinateur de l'un des employés d'Orange. Ce mot de passe était ainsi disponible et en vente depuis au moins septembre dernier. Et pour couronner le tout, aucune identification à double facteur n'était nécessaire pour obtenir les accès.
Dans un communiqué laconique, Le centre de coordination du RIPE a insisté auprès de tous ses membres sur l'importance, au minimum, de ce dernier point.
Un « white hat » derrière l'attaque
Si l'on connaît autant de détails sur l'incident et les failles de sécurité chez Orange Espagne, c'est parce que le hacker qui en est à l'origine, Snow, a tout publié sur X.com, captures d'écran à l'appui. Il a ainsi fustigé les pauvres pratiques de l'entreprise en matière de sécurité, expliqué comment il avait obtenu les accès, avant d'interpeler directement Orange : « j'ai corrigé la mauvaise sécurité de votre compte RIPE. Contactez-moi pour obtenir les nouveaux identifiants ».
Il n'était donc a priori pas animé d'autres mauvaises intentions que d'exposer la négligence d'une multinationale. Pour Orange et ses clients, ça aurait pu être bien pire.
Source : Ars Technica
